容器安全转向减少攻击面

随着漏洞数量的增加和监管要求深入软件交付流程，传统的扫描、识别并修复漏洞的方法变得越来越难以维持。Traefik Labs首席执行官Sudeep Goswami提出了一种新的方法：通过减少容器基础设施中包含的软件来降低初始存在的漏洞数量。Traefik采用Distro Zero策略，旨在剥离不必要的操作系统组件和依赖项，使应用以自包含二进制文件的形式交付。这种方法不仅减少了扫描工具需要管理的内容量，还帮助组织更好地理解和处理整个运行时依赖链。Goswami指出，传统的distroless容器虽然可以减少攻击面，但仍然可能依赖于引入自身漏洞的组件。Distro Zero策略试图移除这些外围依赖表面，并将应用作为自包含二进制文件交付，从而降低扫描工具和安全团队必须管理的内容量。